Ver el código de «Práctica sobre o servizo de directorios»


[[File:OpenLDAP_Logo.PNG|right]]

= Introdución =
Realizaremos a instalación de OpenLDAP e a súa explotación

= Instalación do servidor =
 apt update
 apt install slapd ldap-utils

Se está configurado firewal, deberemos permitir o tráfico polo porto 389 (porto por defecto de ldap) e 636 (porto por defecto ldaps)
 ufw allow ldap
 ufw allow ldaps
 ufw reload

Podemos comprobar que o servizo quedou levantado:
 apt install net-tools (se non está instalado xa)
 netstat -natp | grep 389

Veremos que está levantado:
 tcp        0      0 0.0.0.0:389             0.0.0.0:*               LISTEN      49250/slapd         
 tcp        0      0 173.249.60.168:389      119.12.228.92:63108     ESTABLISHED 49250/slapd         
 tcp6       0      0 :::389                  :::*                    LISTEN      49250/slapd 

Por defecto colle datos predefinidos da información do servidor e crea un dominio con eles:
 slapcat

Queremos instalar o noso dominio coa nosa configuración e lanzaremos configurador:
 dpkg-reconfigure slapd

No asistente cumplimentaremos coa seguinte información:
 If you enable this option, no initial configuration or database will be created for you. Omit OpenLDAP server configuration?: '''No'''
 DNS Domain name: '''ldap.aclasedopeque.com'''
 Organization name: '''aclasedopeque'''
 Do you want the database to be removed when slapd is purged? yes (esto borrará la base de datos anterior). Move old database? '''Yes'''

A continuación vemos que foron engadidos os datos correctamente:
 slapcat

Podemos tamén comprobar que a instalación foi exitosa de distintos xeitos. Por exemplo con ldapwhoami, que debe devolver o nome de usuario co que estamos conectados ó servidor LDAP:
 ldapwhoami -H ldap:// -x

 Saída:
 anonymous

anonymous é o resultado esperable xa que executamos ldapwhoami sin loguearnos no servidor LDAP. Isto significa que o servidor está correndo e respondendo queries

= Introducir obxectos =
Ímos crear dúas unidades organizativas, dous grupos e dous usuarios mediante ficheiros ldif que logo cargaremos no servidor.

 '''Nota'''. Poderíase cargar todo nun fichero pero farémolo en ficheiros separados con fin pedagóxico e para evitar erros. 

Eso sí, sería por orden. Si creo un usuario que pertenece a una unidad organizativa, primero crearé la unidad organizativa y luego el usuario.

== Unidades organizativas (ou) ==
Comezaremos creando as unidades organizatias (''Organizational Unit'', ou) ucha e san clemente.

 cd /home
 nano ou.ldif
 dn: ou=ucha,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: organizationalUnit
 ou: ucha
 
 dn: ou=sanclemente,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: organizationalUnit
 ou: sanclemente

top porque será un objeto que pende da raiz. Poderíamos por exemplo crear unha OU que fora xuntadegalicia, e que ucha e sanclemente penderan dela.

Cargaremos o ficheiro no sistema, indicando co comendo ldapadd as opcións para que se conecte o noso servidor ldap:
 ldapadd -x -D cn=admin,dc=ldap,dc=aclasedopeque,dc=com -W -f ou.ldif

Se se producen erros indicará en que liña, e teremos que repetir o proceso. Se todo vai ben, indicará que foron engadidas as ou, e poderemos comprobalo co comando:
 slapcat

== Grupos ==
Repetiremos un proceso similar cos grupos, creando un de profesores e outro de alumnos.

 nano grupo.ldif
 dn: cn=profesores,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: posixGroup
 gidNumber: 2000
 cn: profesores
 
 dn: cn=alumnos,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: posixGroup
 gidNumber: 2001
 cn: alumnos

 A partir de 1000 úsase para usuarios locales... así que nos comezaremos a numeración por 2000.

 ldapadd -x -D cn=admin,dc=ldap,dc=aclasedopeque,dc=com -W -f grupo.ldif
 slapcat

== Usuarios ==
E aora crearemos dous usuarios, pepe e ana

 nano usuario.ldif
 
 dn: uid=pepe,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: posixAccount
 objectClass: inetOrgPerson
 objectClass: person
 cn: pepe
 uid: pepe
 uidNumber: 2000
 gidNumber: 2000
 homeDirectory: /home/pepe
 loginShell: /bin/bash
 userPassword: {SSHA}7Nz4uRPFfUheAt7lZdHgPibDyl5pZle6
 sn: lopez
 mail: pepelopez@gmail.com
 givenName: pepe
 
 dn: cn=ana,dc=ldap,dc=aclasedopeque,dc=com
 objectClass: top
 objectClass: posixAccount
 objectClass: inetOrgPerson
 objectClass: person
 cn: ana
 uid: ana
 uidNumber: 2001
 gidNumber: 2002
 homeDirectory: /home/ana
 loginShell: /bin/bash
 userPassword: {SSHA}it2n4MMAxBewdrl16Gt3Aj/w1IIkCSSO
 sn: carballeira
 mail: anacarballeira@gmail.com
 givenName: ana

Poñer os tres objectClass permítenos utilizar todos os seus atributos. POdes consultar os de [https://ldapwiki.com/wiki/posixAccount posixAccount], [https://ldapwiki.com/wiki/InetOrgPerson InetOrgPerson] e [https://ldapwiki.com/wiki/Person person]

No referente o contrasinal, foi xenerado con este comando:
 slappasswd

Unha opción para non ter que anotar e transcribir esa información e facer [https://linuxhint.com/redirect-output-file-linux/ uso da redirección de linux]:
 slappasswd >> usuario.ldif

Esto engade na última liña a saída do comando.

Unha vez temos listo o ficheiro:
 ldapadd -x -D cn=admin,dc=ldap,dc=aclasedopeque,dc=com -W -f usuario.ldif

= Consultar obxectos =
Podemos revisar o resultado da inserción:
 ldapsearch -x -b "dc=ldap,dc=aclasedopeque,dc=com"

A saída:
<pre>
# extended LDIF
#
# LDAPv3
# base <dc=ldap,dc=aclasedopeque,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# ldap.aclasedopeque.com
dn: dc=ldap,dc=aclasedopeque,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: aclasedopeque.com
dc: ldap

# ucha, ldap.aclasedopeque.com
dn: ou=ucha,dc=ldap,dc=aclasedopeque,dc=com
objectClass: top
objectClass: organizationalUnit
ou: ucha

# sanclemente, ldap.aclasedopeque.com
dn: ou=sanclemente,dc=ldap,dc=aclasedopeque,dc=com
...
...
mail: anacarballeira@gmail.com
givenName: ana

# search result
search: 2
result: 0 Success

# numResponses: 8
# numEntries: 7
</pre>

Podemos xogar mediante liña de comandos a engadir, consultar, eliminar...

Tamén pode ser interesante conectarse a un servidor LDAP público con máis información que nos permiten "xogar" coas súas posibildades. Por exemplo:

[[File: Ldap_forumsys_com.PNG | configuración da conexión ldap de forumsys]]

= Clientes =
== Cliente web ==
* https://www.filestash.app/ldap-test-tool.html?host=ldap%3A%2F%2Fldap.aclasedopeque.com
* https://www.filestash.app/ldap-browser.html

== Cliente Windows ==
A descarga de LdapAdmin pódese facer [https://github.com/uroesch/LdapAdminPortable/releases no repositorio de github].

<gallery>
File: ldap_cliente_windows_conexion.PNG | Datos da conexión 
File: Ldap_cliente_windows.PNG | Resultado da conexión
</gallery>

== Cliente Linux ==
Realizamos a instalación:
 apt install libnss-ldap libpam-ldap ldap-utils

No asistente:
 LDAP Server Uniform Resource Identifier:
 ldap://IP_Servidor (no meu caso ldap://173.249.60.168/)

 Distinguished name of the search base:
 dc=dominio,dc=com (dominio do servidor, no meu caso dc=www,dc=aclasedopeque,dc=com)

 Ldap version to use:
 3

 Make local root Database admin:
 Yes

 Does the LDAP database require login?
 No

 LDAP account for root: 
 cn=admin,dc=dominio,dc=com (no meu caso cn=admin,dc=wwww,dc=aclasedopeque,dc=com)

 nano /etc/nsswitch.conf
 Cambiamos o da esquerda polo da dereita
 passwd: files systemd      ---> files ldap 
 group: files systemd       ---> files ldap
 shadow: files              ---> files ldap

Indicamos así que tamén se valide cos usuarios de dominio. Comprobamos:
 getent passwd

 nss_updatedb ldap (opcional?)

Facemos que se cree o directorio do usuario de xeito automático a primeira vez que se loguea:
 pico /etc/pam.d/common-session/
 session optional pam_mkhomedir.so skel=/etc/skel/ umask=077

Probamos a facer login cun dos usuarios: 
 login jose

Para poder iniciar sesión de forma gráfica:
 apt install nslcd

Os datos por defecto serán xa correctos. Reiniciamos:
 reboot now

E probamos a acceder mediante interfaz gráfica.

= Ampliación =
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [[Autenticando usuarios con LDAP programáticamente]]
* [[Configuración de servidor LDAP e NFS]]
</div>

= Referencias =
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://albertomolina.files.wordpress.com/2008/07/autenticacion_ldap.pdf Autenticación LDAP en GNU/Linux]
* [https://atareao.es/tutoriales/autenticar-usuarios-nss-pam-y-ldap/ Autenticar usuarios. NSS. PAM y LDAP]
</div>

== Instalación e configuración do servidor LDAP ==
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://manuais.iessanclemente.net/index.php/Instalaci%C3%B3n_de_Samba_y_OpenLDAP_en_Debian Samba e OpenLDAP en Debian]
* [https://computingforgeeks.com/how-to-install-and-configure-openldap-server-on-debian/ How to install and configure openldap server on debian]
* [https://computingforgeeks.com/install-and-configure-openldap-phpldapadmin-on-ubuntu/ How to install and configure openldap server and phpldapadmin on debian]
* [https://kifarunix.com/install-and-setup-openldap-server-on-debian-11/ Install and setup openldap server on debian 11]
* [https://kifarunix.com/setup-openldap-server-with-ssl-tls-on-debian-10/ Setup openldap server with SSL/TLS on debian 10]
* [https://kifarunix.com/install-phpldapadmin-on-debian-10-debian-11/ Install phpldapadmin on debian 10/11]
* [https://github.com/leenooks/phpLDAPadmin phpLDAPadmin - github]
* [http://ftp.de.debian.org/debian/pool/main/p/phpldapadmin/ phpldapadmin repository]
* [https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-openldap-and-phpldapadmin-on-ubuntu-16-04 How to install and configure openldap and phpldapadmin on ubuntu 16-04 - digitalocean]
* [https://www.evaristogz.com/directorio-ldap-basico-debian-jessie/ Instalar OpenLDAP en Debian Jessie y crear un directorio LDAP básico]
</div>

== Instalación e configuración do cliente LDAP ==
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [http://somebooks.es/12-9-configurar-un-equipo-cliente-con-ubuntu-para-autenticarse-en-el-servidor-openldap/ Configurar un equipo cliente con ubuntu para autenticarse en el servidor openldap]
* [https://openldap.com/ Páxina oficial de OpenLDAP]
* [https://github.com/uroesch/LdapAdminPortable/releases LdapAdmin client for windows]
* [https://ldapbrowserwindows.com/ ldapbrowserwindows]
* [https://community.microfocus.com/cyberres/netiq-identity-governance-administration/idm/w/identity_mgr_tips/15649/jarek-gawor-s-excellent-ldap-browser-editor-v2-8-2 ldap browser editor v.2.8.2 portable en java]
* [https://directory.apache.org/studio/ Apache directory studio]
</div>

== Otros ==
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://www.zytrax.com/books/ldap/ LDAP for Rocket Scientists]
* [https://www.scribd.com/document/321400581/Ejercicios-LDAP Exercicios de ldap]
* [https://aso.tinaja.es/ldap/ejercicios-clientes.html Exercicios clientes]
* [https://www.youtube.com/watch?v=6HkIDr3QF8Y Configurar LDAP en Ubuntu Server. Creación usuarios grupos ficheros ldif. ldapadd. Video de Marc Venteo]
* [https://www.youtube.com/watch?v=a9uk6hqtJls Videotutorial con información de LDAP]
* [https://www.youtube.com/watch?v=CXe0Wxqep_g Otro videotutorial con información de LDAP]
* [https://github.com/statickidz/TemarioDAW/blob/master/DAW/Tarea/DAW05_Tarea.pdf Tarefa resolta]
* [https://demo.filestash.app/login cliente web]
* [https://www.filestash.app/ldap-browser.html ldap browser online]
* [ldap://ldap.forumsys.com ldap público para probas]
* [ldap://ipa.demo1.freeipa.org outro ldap público para probas]
* [https://hub.docker.com/r/upekshejay/simple-ldap-test-server Simple ldap test server with docker]
* [https://www.udemy.com/course/ldap-directory-services-concepts-setup-and-configuration/ Ldap setup and configuration - udemy]
* [https://somebooks.es/?s=ldap Tutorial por partes de LDAP]
</div>